Quishing: gefälschte QR-Codes erkennen und als Betrieb vorbeugen

Quishing setzt sich aus „QR“ und „Phishing“ zusammen. Gemeint ist Betrug, bei dem ein QR-Code auf eine Seite führt, die nicht dem gehört, den du vermutest. Bekannt sind überklebte Codes an Parkautomaten und Ladesäulen: Jemand klebt einen eigenen Code über den echten, und wer scannt, landet auf einer nachgebauten Bezahlseite.

Der Trick funktioniert, weil man einem QR-Code die Adresse nicht ansieht. Genau da setzen die Gegenmaßnahmen an, für Leser und für Betriebe.

So erkennst du eine echte Adresse

Die Kamera-App zeigt nach dem Scan die Adresse an, bevor sie etwas öffnet. Lies sie, statt sofort zu tippen. Entscheidend ist der Teil zwischen „https://“ und dem ersten Schrägstrich, das ist die Domain.

• qr.deinefirma.at/speisekarte gehört zu deinefirma.at. Das ist die Domain des Betriebs.
• deinefirma.at.parkzahlen-jetzt.com gehört dagegen zu parkzahlen-jetzt.com, auch wenn der Firmenname vorne steht. Maßgeblich ist immer das Ende der Domain.
• Achte auf Tippfehler, vertauschte Buchstaben und zusätzliche Bindestriche im Namen.
• Kurzlinks von fremden Diensten verbergen das Ziel. Bei einem Parkautomaten oder einer Rechnung ist das ein Grund, genauer hinzusehen.
• Verlangt die Seite nach dem Scan sofort Zahlungsdaten, Passwörter oder einen Download, ist Vorsicht richtig.

Vor Ort prüfen, bevor du scannst

• Fahr mit dem Finger über den Aufkleber. Fühlt sich ein Rand an oder lässt sich eine Ecke anheben, kann darunter ein zweiter Code kleben.
• Sieht der Code anders aus als die übrige Beschriftung, etwa anderes Papier, anderer Druck, schiefer Sitz, ist das verdächtig.
• Steht neben dem Code eine Adresse im Klartext, vergleiche sie mit dem, was die Kamera-App anzeigt.
• Im Zweifel tippst du die Adresse selbst ein oder fragst das Personal. Bezahlen kannst du am Automaten oft auch anders.

Was Betriebe tun können

Ganz verhindern lässt sich das Überkleben nicht, denn jeder kann einen Aufkleber anbringen. Du kannst aber vieles leichter prüfbar machen.

• Drucke die Adresse im Klartext unter den Code, gut lesbar und kurz genug zum Abtippen. Wer sie vergleicht, merkt eine Abweichung sofort.
• Nutze eine eigene Subdomain wie qr.deinefirma.at statt einer fremden Domain. Gäste lernen, dass echte Codes deines Betriebs immer mit deinem Namen beginnen.
• Kontrolliere deine Codes regelmäßig, zum Beispiel bei jedem Rundgang, und trage es in einen festen Plan ein.
• Bring Codes so an, dass Überkleben auffällt: direkt aufs Material gedruckt, unter einer Schutzfolie oder in einem Rahmen, statt als loser Aufkleber.
• Sag es deinen Gästen. Ein Satz wie „Echte Codes von uns beginnen mit qr.deinefirma.at“ auf Karte oder Tisch hilft mehr, als man denkt.
• Behalte die Scan-Zahlen im Blick. Fällt ein Code, der sonst oft gescannt wird, plötzlich auf fast null, ist ein Blick vor Ort angebracht.

Was eine eigene Domain leistet und was nicht

Eine eigene Domain verhindert nicht, dass jemand einen Fremdcode darüberklebt. Sie hilft aber beim Erkennen: Deine Gäste sehen deinen Namen in der Adresse, und ein falscher Code fällt eher auf. Außerdem gehört dir die Domain, du kannst sie jederzeit zu einem anderen Anbieter mitnehmen, und gedruckte Codes bleiben gültig.

Bei Same-QR wählst du den Pfad beim Anlegen eines neuen Codes selbst, zum Beispiel qr.deinefirma.at/speisekarte. Das ist kurz, merkbar und gut unter den Code zu drucken. Eine eigene Domain gibt es ab Gastro Pro oder Marketing Starter, bestehende Codes behalten ihre Adresse.

Häufig gestellte Fragen